實(shí)驗(yàn)一Ethereal使用入門

1、實(shí)驗(yàn)一：Ethereal使用入門一、背景知識(shí)Ethereal是目前廣泛使用的網(wǎng)絡(luò)協(xié)議分析工具(Network Protocol Analyzer)，它能夠?qū)崟r(shí)地捕獲網(wǎng)絡(luò)上的包，并且把包中每個(gè)域的細(xì)節(jié)顯現(xiàn)出來。Ethereal的廣為流行主要有以下三個(gè)原因：(1)它的功能非常強(qiáng)大，隨著大家對(duì)Ethereal的熟悉將會(huì)深切感受到這一點(diǎn)。(2)它是開源、免費(fèi)的軟件。(3)它具有非常詳細(xì)的文檔。Ethereal的安裝文件和文檔可以從 下載。二、Ethereal圖形界面，如下圖所示：第一部分是菜單和工具欄，Ethereal提供的所有功能都可以在這一部分中找到。第二部分是被捕獲包的列表，其中包含被捕獲包的一

2、般信息，如被捕獲的時(shí)間、源和目的IP地址、所屬的協(xié)議類型，以及包的類型等信息。第三部分顯示第二部分已選中的包的每個(gè)域的具體信息，從以太網(wǎng)幀的首部到該包中負(fù)載內(nèi)容，都顯示得清清楚楚。第四部分顯示已選中包的16進(jìn)制和ASCII表示，幫助用戶了解一個(gè)包的本來樣子。三、Ethereal的基本用法Ethereal的最基本功能是捕獲網(wǎng)絡(luò)包，其使用方法很簡單，按如下步驟即可：(1)選擇“Capture”菜單項(xiàng)中的 “Option”,這時(shí)會(huì)彈出一個(gè)對(duì)話框，如下所示。這個(gè)對(duì)話框中的欄目雖然很多，但一般只需配置其中兩項(xiàng)。一項(xiàng)是 “Capture Filter”欄。在這個(gè)欄中，可以輸入過濾規(guī)則，用于規(guī)定Ethere

3、al捕獲包的種類(注：過濾規(guī)則的寫法將在下一節(jié)作專門介紹)；如果不輸入過濾規(guī)則，則Ethereal將捕獲所有從網(wǎng)卡發(fā)送或收到的包。另外一項(xiàng)是 “Update list of packets in real time”選項(xiàng)，請(qǐng)大家一定要選中這一項(xiàng)，這樣可以使Ethereal在捕獲包的同時(shí)，實(shí)時(shí)地把捕獲的包顯示出來。(2)在完成如上配置后，點(diǎn)擊“Start”按鈕，Ethereal便開始捕獲包。四、Ethereal的過濾規(guī)則Ethereal的過濾規(guī)則可以有兩種形式：(1)一個(gè)原語：一個(gè)原語即一條最基本的過濾規(guī)則(2)用 “and”、“or”、“not”關(guān)系去處運(yùn)算符，以及括號(hào)組合起來的原語。其中“a

4、nd”的含義是它所連接的兩個(gè)原語必須都成立；“or”的含義是它所連接的兩個(gè)原語只要有一個(gè)成立即可；“not”的含義是它后面跟的原語不成立；括號(hào)的作用是對(duì)關(guān)系運(yùn)算順序作出規(guī)定。從上面的描述可以看出，我們只要掌握原語的寫法，再用關(guān)系運(yùn)算符把它們組合起來，就可以寫出滿足不同要求的過濾規(guī)則了。Ethereal提供的原語非常多，這里只介紹最常用的四種（在下面的敘述中，“”表示可選項(xiàng)，“”表示必存在的項(xiàng)，“”表示兩者選擇其中之一，其他字符串則是關(guān)鍵字，必須照寫不誤）：1) ether src|dst host 這條原語用來根據(jù)以太網(wǎng)MAC層的信息來進(jìn)行包過濾。若無可選項(xiàng)src|dst，這條原語用于捕獲源和

5、目的MAC地址之一是“mac_addr“的以太網(wǎng)幀；如果加上 “src”或 “dst”的限制，則分別用于捕獲源或目的MAC地址是“mac_addr”的以太網(wǎng)幀。如：原語 “ether host 08:00:1B:D3:D3:61”的含義是捕獲所有源或目的MAC地址是 “08:00:1B:D3:D3:61”的以太網(wǎng)幀。原語 “ether src host 08:00:1B:D3:D3:61”的含義是捕獲所有源MAC地址是 “08:00:1B:D3:D3:61”的以太網(wǎng)幀。2)src|dst host 這條原語用來根據(jù)IP信息進(jìn)行包過濾。若無可選“src|dst”,這條原語用于捕獲源或目的IP地址

6、之一是“ip_addr”的包；如果加上“src”或“dst”的限制，則分別用于捕獲源或目的IP地址是“ip_addr”的包。例如，原語“host 210.30.97.53 ”的含義是捕獲所有源或目的地址是“210.30.97.53”的包；原語“dst host 210.30.97.53 ”的含義是捕獲所有目的地址是“210.30.97.53”的包3)tcp|udp src|dst port 這條原語是用來根據(jù)傳輸層進(jìn)行包過濾。它可以用于捕獲傳輸層協(xié)議是TCP或UDP，源或目的端口號(hào)是number的包?？蛇x項(xiàng)“TCP”和“UDP”用于對(duì)傳輸層協(xié)議進(jìn)行選擇，可選項(xiàng)“src”和“dst”用來對(duì)端口號(hào)是源還是目的進(jìn)行選擇。例如，原語“tcp port 80”的含義是捕獲所有源或目的端口號(hào)是80的協(xié)議的包；原語 “udp dst port 53”的含義是捕獲所有目的端口號(hào)是53的UDP協(xié)議的包。4) arp|ip|icmp|udp|tcp等這類原語用于捕獲屬于某種協(xié)議類型的包，協(xié)議的類型可以是“arp”、“ip”、“ICMP”、“UDP”或“TCP”等。例如只含一個(gè)關(guān)鍵原語“ICMP”